musl 平台 OpenSSH 曝严重漏洞：受锁账户任意密码可登录
evilsocket · x · 2026-11-05
安全研究者披露名为 sshole 的 OpenSSH 漏洞：在 Alpine、OpenWrt、buildroot、yocto 等基于 musl 的系统（含大量 Docker 镜像）上，自 2016 年起，本不应接受密码登录的账户（root、仅密钥部署用户、LDAP 用户等）可被任意超过 256 字符的密码登录。
作者长文梳理了成因脉络：从 1980 年 Bill Joy 用 锁定 daemon 账户的 /etc/passwd 传统，到 sshd 的 crypt() 校验流程，再到 2012 年 musl 为规避程序不检查 NULL 而让 crypt() 失败时返回单字符的行为。
紧急建议：在 musl 平台跑 sshd 且开启密码认证的用户立即更新，或关闭密码认证。
所属事件:musl OpenSSH 爆严重漏洞，任意长密码可登录锁定账户(5 条相关)→
「安全」频道最新
- 潜伏九年的 OpenSSH 漏洞：超长密码可登录任意禁密账户，根源在 musl libc — TheZachMueller · 2026-11-05
- 开发者15分钟造出键盘记录器，防御检测却成难题 — MariyaSha888 · 2026-11-05
- GraySwan CEO 解析伪造多轮对话如何操纵 AI agent — TechNadu · 2026-11-05
- 桑德斯「禁止超级智能法案」仍未推进,支持者敦促 1 月前组织反制 — Inviolate_Violet · 2026-11-05
- 曝月之暗面租欧洲数据中心 Blackwell，欲租 8000 卡绕开出口管制 — rohanpaul_ai · 2026-11-05
- AI 伪造证件网站 OnlyFake 之王自白：15 美元一张假 ID 赚超百万美元 — 404 Media · 2026-11-05